Ivanti ICS zakrpe zatvaraju lanac do root pristupa
CISA je u katalog poznatih aktivno iskorišćenih ranjivosti, KEV, dodala propuste CVE-2026-111357 sa CVSS ocenom 8,8 i CVE-2026-118527 sa ocenom 4,3 u Ivanti Connect Secure (ICS). Zajedno sa ranije evidentiranim CVE-2026-104935, ocene 8,6, oni su korišćeni u lancu koji napadaču omogućava izvršavanje koda sa root privilegijama bez autentifikacije.
Ivanti je zakrpe za CVE-2026-111357 i CVE-2026-118527 objavio za ICS 25.1.1.3 i 22.8R2.6. Verzija 25.1.1.3 ispravlja izdanja 25.1.1.2 i starija, dok 22.8R2.6 rešava problem u 22.8R2.5 i starijim podržanim izdanjima.
Tri propusta u jednom napadačkom lancu
Volexity je početkom oktobra dokumentovao zloupotrebu lanca koju povezuje sa do tada neevidentiranim akterom UTA0576. CVE-2026-104935 služi za zaobilaženje autentifikacije, a druga dva propusta dopunjuju put do udaljenog izvršavanja koda i eskalacije privilegija.
CVE-2026-111357 je nedostatak autentifikacije za kritičnu funkciju koji lokalnom autentifikovanom napadaču može omogućiti podizanje privilegija. CVE-2026-118527 se odnosi na predvidljive brojeve ili identifikatore i udaljenom autentifikovanom napadaču može omogućiti otpremanje sadržaja pod njegovom kontrolom na poznatu lokaciju na disku.
Takva kombinacija nije ostala samo teorijski rizik. Volexity navodi da je UTA0576 propuste koristio za izvlačenje akreditiva i ograničenih metapodataka iz Active Directory-ja, izviđanje hostova i potragu za administratorskim lozinkama i BitLocker ključevima za oporavak. Širi obrazac kombinovanja ranjivosti i identitetskih podataka vidi se i kroz ThreatsDay o lancima napada i AI agentima, gde se izdvajaju lanci napada i incidenti povezani sa AI agentima.
Zakrpiti ceo lanac, ne samo početnu tačku
Ivanti je naveo da je, kada je zloupotreba otkrivena, zakrpa za CVE-2026-104935 već bila u proveri kvaliteta za podržane verzije. Kompanija je odlučila da ne odloži isporuku zaštite za primarni put eksploatacije kada je otkriven propust za eskalaciju privilegija.
Kompanija je takođe navela da je deo ranjivosti pronašla kroz svoj program bezbednosti proizvoda i ispravila u julskom izdanju 25.1.3.0, dok je radila na prenošenju ispravke na druga podržana izdanja. Najnovije izdanje, prema Ivantiju, otklanja sve ranjivosti koje su povezane i aktivno iskorišćene.
Operativni prioritet za organizacije
FCEB agencije u SAD imaju rok do 2. novembra 2026. za CVE-2026-111357 i do 13. novembra 2026. za CVE-2026-118527. Za druge organizacije praktičan zaključak je isti: proveriti instalirane verzije ICS-a, primeniti odgovarajuće zakrpe i pregledati sisteme na tragove prikupljanja akreditiva, izviđanja i pristupa podacima o oporavku.